La nouvelle directive opérationnelle de CISA, BOD 26-04, instaure une obligation claire : pour une vulnérabilité activement exploitée, accessible publiquement et offrant un contrôle total à l’attaquant, le délai de remédiation est fixé à trois jours calendaires. En parallèle de cette course contre la montre, les équipes doivent lancer une investigation forensique pour déterminer si l’entité a déjà été compromise.

Ce changement marque une rupture nette avec les cadres précédents. L’ancienne directive BOD 22-01 imposait, par exemple, un délai de quatorze jours pour toutes les entrées du Catalogue des Vulnérabilités Connues Exploitées (KEV), sans distinction de l’exposition ou de la nature de l’attaque. Selon Rapid7, BOD 26-04 remplace cette uniformité par un modèle dynamique qui se concentre sur ce que les attaquants utilisent réellement.

Le passage du modèle basé sur le score CVSS seul à une évaluation par quatre variables binaires est fondamental. Ces variables évaluent si l’actif est exposé sur un réseau public, s’il est listé dans le KEV Catalog, si l’exploitation peut être automatisée et si l’impact technique confère un contrôle total. L’exposition de l’actif s’avère être le levier le plus puissant : les données de Rapid7 montrent que la moitié des vulnérabilités activement exploitées sur le terrain au premier trimestre 2026 étaient des problèmes sans clic, accessibles sur un réseau public, sans nécessiter d’authentification. Au deuxième trimestre 2026, près des deux tiers nécessitaient aucune interaction de l’utilisateur.

Les niveaux de risque et la dynamique de la correction

Les quatre critères se combinent pour définir des paliers de remédiation très précis. Le niveau 1, le plus critique, concerne les failles listées dans le KEV Catalog et offrant un contrôle total ; là, les trois jours s’accompagnent du triage forensique. Pour les failles de niveau 2 – celles qui sont exposées publiquement, automatisables et offrent un contrôle total mais ne sont pas encore dans le KEV – le délai reste de trois jours, mais sans l’obligation du triage initial. Les niveaux inférieurs varient entre quatorze, soixante jours, ou sont différés jusqu’à la prochaine mise à niveau du système, selon leur criticité et leur isolation.

CISA considère l’isolement ou la mitigation comme une forme de remédiation valide, permettant de gagner du temps avant l’application du correctif définitif. Ce système est intrinsèquement fluide : l’ajout d’une vulnérabilité dormante au KEV Catalog peut réduire son calendrier de correction du jour au lendemain.

Le défi de la preuve avant la correction

L’exigence de mener une investigation forensique simultanément à la correction, applicable aux vulnérabilités de niveau 1, pose un vrai casse-tête opérationnel. Comme l’indique la documentation de CISA, il faut d’abord capturer les données volatiles – la mémoire vive, par exemple – avant d’appliquer un correctif qui pourrait écraser ces traces. Cette séquence doit être réalisée dans un protocole de soixante-douze heures. L’un des risques majeurs, selon le protocole de six étapes, est la tension entre l’étape de préservation des preuves et l’étape de stabilisation du système. Réaliser cette collecte d’informations méticuleuse sur chaque point de terminaison en un laps de temps si court n’est pas une tâche triviale.

Bien que BOD 26-04 s’applique formellement aux agences fédérales civiles, son impact se propage au secteur privé via les exigences contractuelles. Les prestataires de services cloud traitant des données fédérales sont indirectement contraints d’adopter ce standard de triage de trois jours. Il reste à voir comment les équipes techniques vont adapter leurs processus pour gérer cette pression constante entre la sécurité immédiate et la nécessité de garder une trace légale de ce qui s’est passé avant la réparation.

Sources

• The Race Against the 3-Day Clock: How Rapid7 Helps Meet BOD 26-04 Compliance, Rapid7, 4 novembre 2026
• CISA Adds One Known Exploited Vulnerability to Catalog, CISA, 3 novembre 2026